La ciberseguridad en México atraviesa una etapa de crecimiento, pero también de importantes desafíos. El aumento de los ataques, la presión regulatoria, la digitalización de los procesos y la aparición de nuevas amenazas están llevando a las organizaciones a prestar más atención a la protección de sus activos. Sin embargo, los participantes en el desayuno organizado por Ciberilatam bajo el título «Estado de situación, tecnología y futuro de la ciberseguridad en México» coincidieron en que el mercado todavía mantiene una actitud demasiado reactiva. De hecho, muchas empresas invierten solo cuando la normativa las obliga o cuando ya han sufrido un incidente.
En el encuentro participaron Luis Eduardo Hernández, CEO de Cyberyx; Verónica Becerra, CEO de OffHack; Francisco Velázquez, CEO y cofundador de SecurED MX; Enrique Gámez, director comercial y cofundador de SecurED MX; Edgar Arizmendi, experto de ciberseguridad de Sictel; Oswaldo Silva, VP de Operaciones PCI México y Redteam de GM Sectec; Nazly Borrero, CEO de CyberRisk Intelligence; Ricardo González, Sales Manager de Prim’X; y Faustino Corona, CFO de Scentec. El subdirector de Ciberilatam, Juanjo Arenas, fue el moderador del encuentro.
Un mercado más consciente
El primer diagnóstico de la mesa fue que México ha mejorado en madurez, presupuesto y adopción tecnológica, pero todavía persiste la idea de que la ciberseguridad puede esperar. Arizmendi, de Sictel, destacó que el país está evolucionando y que las organizaciones comienzan a incorporar soluciones más avanzadas. «Vamos avanzando, vamos evolucionando y eso es importante», afirmó. No obstante, también advirtió de que «muchos responsables de TI siguen pensando que contar con determinadas herramientas es suficiente para estar protegidos», cuando no es así.
Precisamente, varios ponentes insistieron en que la seguridad no puede depender únicamente de la tecnología. Borrero, de CyberRisk Intelligence, señaló que aún existe una cultura de «a mí no me va a pasar», tanto en México como en otros países de la región. Esa percepción lleva a confiar en exceso en una consola, un firewall o una arquitectura determinada, «sin analizar si realmente existen procesos, personas y capacidades para responder ante un incidente», explicó.
Al respecto, Silva, de GM Sectec, coincidió en que muchas organizaciones solo actúan por dos motivos: «o están reguladas, o ya han sido atacadas». Desde su experiencia en cumplimiento, explicó que la regulación puede servir como punto de partida, pero «el objetivo debe ser ir más allá del mínimo exigido».
En la misma línea, González describió la situación de México y Latinoamérica como crítica en términos de concienciación. Para el Sales Manager de Prim’X, el mercado sigue reaccionando tarde: «Seguimos siendo reactivos; hasta que no nos pegan, no nos curamos», aseguró. Esta falta de anticipación provoca que muchos proyectos se congelen hasta que aparece una brecha, una multa o una exigencia de un cliente, apuntó.
México, ciberseguridad, pymes y proveedores
A partir de ese diagnóstico, el debate derivó hacia uno de los principales obstáculos: el presupuesto. Los expertos coincidieron en que muchas organizaciones siguen viendo la ciberseguridad como un gasto y no como una inversión. Velázquez, de SecurED MX, explicó que esta percepción cambia en sectores más regulados, donde la normativa obliga a actuar, pero sigue siendo un reto en compañías con menor madurez.
El problema es especialmente visible en las pequeñas y medianas empresas. Hernández, de Cyberyx, señaló que muchas pymes carecen de infraestructura, personal y presupuesto para enfrentarse a amenazas cada vez más sofisticadas. «Para mí, realmente los riesgos sí están en esas pequeñas y medianas empresas», subrayó. En su opinión, la industria debe ofrecer «modelos más flexibles, capaces de proteger entornos con pocas licencias y recursos limitados».
Becerra, de OffHack, añadió que muchas pymes forman parte de la cadena de suministro de grandes compañías. Por lo tanto, su grado de seguridad no solo les afecta a ellas, sino también a sus clientes. «El reto aparece cuando una gran empresa exige controles a un proveedor que no dispone de presupuesto suficiente para implantarlos», añadió.
González también apostó por esa «democratización de la seguridad«. Según explicó, para Prim’X, «una organización con 10 o 20 licencias es tan relevante como una gran cuenta». Además, consideró que atender a la parte media y baja de la pirámide empresarial permite ampliar el alcance real de la protección.
Fraude y ‘ransomware’
En cuanto a las amenazas, el debate se situó en torno al ransomware, el fraude y la ingeniería social entre los riesgos más relevantes. Arizmendi, de Sictel, explicó que las amenazas están evolucionando hacia «técnicas más profundas, capaces de estudiar al usuario y detectar sus hábitos». Por eso, defendió tecnologías que no se limiten a bloquear un correo o una URL, sino que permitan identificar indicios dentro de la red y anticipar movimientos sospechosos.
No obstante, antes incluso de desplegar nuevas soluciones, varios asistentes apuntaron a un problema básico. Y es que muchas empresas no conocen bien su propia infraestructura. Becerra, de OffHack, contó que en ejercicios de pentesting aparecen sistemas obsoletos, servidores que nadie sabe si siguen siendo necesarios o aplicaciones críticas que no pueden actualizarse porque dejarían de funcionar. «Esta falta de visibilidad impide valorar correctamente el riesgo y priorizar qué debe protegerse primero», afirmó.
Precisamente, Velázquez, de SecurED MX, también insistió en esa necesidad de priorización. Desde su experiencia en hacking ético, explicó que no basta con entregar un informe de vulnerabilidades; sino que hay que ayudar al cliente a interpretar los resultados y remediar. «No nos quedamos con entregar el diagnóstico, sino también debemos dar la cura», señaló.
Protección de datos y OT
Otro de los temas destacados fue la protección de datos personales. Borrero, de CyberRisk Intelligence, advirtió de que muchas organizaciones aún no saben crear políticas adecuadas, ni formar correctamente a las personas que manejan información sensible. Para la experta, esta falta de gobernanza «provoca que los especialistas lleguen tarde, cuando ya se ha producido la filtración».
En este sentido, Corona, de Scentec, subrayó la importancia de cuidar e incentivar al personal clave, porque «muchas veces son quienes conocen mejor los sistemas y sus vulnerabilidades».
Desde su experiencia, este profesional también explicó que la protección de la información exige controles internos estrictos. «Por ejemplo, en la empresa nadie tiene acceso a USB en las computadoras», señaló, al referirse a las medidas aplicadas en su empresa para evitar salidas no autorizadas de información.
El debate también abordó los entornos industriales (OT), donde los retos son diferentes a los de la seguridad corporativa tradicional. Becerra, de OffHack, señaló que muchas empresas mantienen sistemas operativos antiguos o aplicaciones críticas que no pueden actualizarse; mientras que Silva, de GM Sectec, constató que en OT la prioridad principal suele ser la disponibilidad, más que la confidencialidad. «Una actualización mal ejecutada o una prueba intrusiva pueden afectar a la operación y generar pérdidas relevantes», aseguró.
Inteligencia artificial y humana
La inteligencia artificial (IA) fue otro de los grandes ejes tecnológicos de la conversación. Los ponentes coincidieron en que representa una oportunidad, pero también un riesgo.
En esta línea, Arizmendi, de Sictel, advirtió de que algunas áreas de TI pueden interpretar mal estas capacidades. «Que una herramienta incorpore IA no significa que una organización ya no necesite un SOC o profesionales especializados», subrayó.
Hernández, de Cyberyx, coincidió en que la IA debe entenderse como una herramienta de apoyo y automatización, no como un sustituto indiscriminado de los profesionales. «La IA no va a desplazar a la gente, va a desplazar los errores de la gente», afirmó.
Precisamente, la falta de talento fue otro de los grandes retos identificados. Silva, de Sectec, recordó que no hay suficientes profesionales para cubrir todas las necesidades del mercado, un problema que no afecta solo a México, sino a escala global. Por eso, consideró que la IA puede ayudar a «eficientar procesos y cubrir parte de esa brecha, siempre como apoyo al criterio experto».
La formación, además, no debe limitarse a los equipos técnicos. Gámez, de SecurED MX, defendió que la educación en ciberseguridad debe empezar desde secundaria y universidades. «Esta formación no eliminará por completo el riesgo, pero sí permitirá reducirlo», apuntó.
Para explicar esta necesidad, Gámez comparó la educación digital con otros aprendizajes básicos de la infancia. «Cuando nosotros crecimos, iba nuestro papá o mamá y nos daba la mano para cruzar la calle», recordó. Hoy, añadió, también es necesario enseñar a los jóvenes a identificar riesgos digitales: «No, no abras este correo, puede ser un fraude».
La conclusión del desayuno fue que México ha avanzado, pero aún debe consolidar una visión más estratégica de la ciberseguridad. La protección ya no puede depender solo de herramientas, ni activarse únicamente después de un incidente. Debe integrarse en la cultura empresarial, en la educación, en la gestión del riesgo, en la protección de datos, en la continuidad operativa y en la relación entre empresas y proveedores.
Archivado en:
